CVE-2026-25586

SandboxJS e Versões Afetadas Versões do SandboxJS anteriores a 0.8.29

Descrição O SandboxJS, uma biblioteca de sandboxing JavaScript, está suscetível a um problema de escape de sandbox. Isso ocorre devido à capacidade de ofuscar o método hasOwnProperty em um objeto da sandbox, o que desabilita a aplicação da lista branca de protótipos durante o acesso a propriedades. Isso permite o acesso direto a propriedades de protótipo bloqueadas, como proto, potencialmente levando à poluição do Object.prototype do host e impacto entre sandboxes. O problema foi reproduzível no Node v23.9.0. A causa raiz é o uso direto de a.hasOwnProperty(b) dentro da função prototypeAccess, que pode ser controlado por um atacante se o objeto da sandbox ofuscar o hasOwnProperty. Isso contorna as verificações da lista branca. A vulnerabilidade pode ser explorada para alcançar execução remota de código (RCE) através da exploração de gadgets do host e poluição de protótipo. Especificamente, o contorno do hasOwnProperty permite a mutação do Object.prototype, potencialmente levando à execução de comandos arbitrários.

Recomendações Atualize o SandboxJS para a versão 0.8.29 ou posterior.